Klient prosi o dostęp do danych: co wydać w ciągu miesiąca

Art. 15 RODO daje każdej osobie prawo dowiedzieć się od ciebie, czy i jakie dane na jej temat przetwarzasz. Wniosek nie ma formy zastrzeżonej, nie wymaga uzasadnienia i nie musi zawierać słowa „wniosek”. Zdanie „a co wy właściwie o mnie trzymacie?” też nim jest, jeśli pada na poważnie.

Nakład za tym stoi mniej po stronie prawa, a bardziej po stronie twojego archiwum. Lista tego, co należy do odpowiedzi, jest przejrzysta i powstaje w godzinę — jeśli wiadomo, gdzie dane leżą. Jeśli leżą w czterech systemach, z tej samej godziny robi się weekend. Ten tekst opisuje przebieg; jest orientacją, a o spornych przypadkach rozstrzyga Prezes Urzędu Ochrony Danych Osobowych albo porada prawna.

Art. 15 ust. 1 wymaga dwóch rzeczy, które bywają mylone. Po pierwsze potwierdzenia, czy dane w ogóle są przetwarzane. Po drugie, jeśli tak, informacji o tych danych oraz o ośmiu okolicznościach samego przetwarzania:

• cele przetwarzania,
• kategorie przetwarzanych danych,
• odbiorcy lub kategorie odbiorców — także ci w państwach trzecich,
• planowany okres przechowywania albo, gdy to niemożliwe, kryteria jego ustalania,
• istnienie prawa do sprostowania, usunięcia, ograniczenia i sprzeciwu,
• prawo wniesienia skargi do organu nadzorczego,
• źródło danych, jeżeli nie zostały zebrane od samej osoby,
• czy zachodzi zautomatyzowane podejmowanie decyzji, w tym profilowanie.

Pierwsze siedem brzmi w małej firmie tak samo dla wszystkich wniosków — da się je napisać raz i używać wielokrotnie. Różnią się tylko same dane, dla każdej osoby inne. Właśnie dlatego opłaca się szablon: część stała jest większa.

Do tego dochodzi art. 15 ust. 3: udostępniasz kopię danych podlegających przetwarzaniu. Gdy wniosek przychodzi elektronicznie, informacji udziela się w powszechnie używanym formacie elektronicznym, chyba że wskazano inaczej. Za kolejne kopie wolno pobrać rozsądną opłatę opartą na kosztach administracyjnych — za pierwszą nie.

Art. 12 ust. 3 wyznacza termin: bez zbędnej zwłoki, w każdym razie w terminie miesiąca od otrzymania wniosku. Miesiąc biegnie od wpływu, a nie od dnia, w którym rozpoznano wniosek jako wniosek — to jeden z powodów, dla których maile na adres ogólny nie powinny leżeć tygodniami.

Termin da się przedłużyć o kolejne dwa miesiące, jeżeli jest to konieczne ze względu na skomplikowany charakter żądania lub liczbę żądań. To przedłużenie nie następuje samo: trzeba o nim poinformować w ciągu pierwszego miesiąca i podać przyczyny opóźnienia. Kto zawiadamia o przedłużeniu dopiero w trzecim miesiącu, termin przekroczył, a nie przedłużył.

Jeżeli na wniosek nie podejmujesz działań, sprawa nie kończy się milczeniem. Art. 12 ust. 4 wymaga, żeby bez zbędnej zwłoki, najpóźniej w terminie miesiąca, podać przyczyny i wskazać dwie drogi: skargę do organu nadzorczego oraz środek ochrony prawnej przed sądem. Odpowiedź jest więc zawsze, także ta odmowna.

Dostęp jest zgodnie z art. 12 ust. 5 wolny od opłat. Tylko przy żądaniach ewidentnie nieuzasadnionych albo — w szczególności ze względu na ustawiczny charakter — nadmiernych wolno pobrać rozsądną opłatę lub odmówić działania, przy czym ciężar wykazania tego spoczywa na tobie. Drugi wniosek tej samej osoby po pół roku nadmiernym jeszcze nie jest.

Odpowiedź idzie do osoby, której dane dotyczą — i do nikogo innego. Udzielenie dostępu niewłaściwej osobie jest samo w sobie naruszeniem ochrony danych, i to naruszeniem spowodowanym przez ciebie. Dlatego weryfikacja tożsamości stoi przed odpowiedzią.

Art. 12 ust. 6 pozwala ci przy uzasadnionych wątpliwościach zażądać dodatkowych informacji potwierdzających tożsamość. Motyw 64 uzupełnia, że należy korzystać ze wszystkich rozsądnych środków, w szczególności w usługach internetowych. Dwie granice są tu ważne:

• Wątpliwości muszą być uzasadnione. Jeśli wniosek przychodzi z adresu e-mail, który od lat stoi w twojej kartotece, z reguły nie ma powodu żądać dokumentu tożsamości.
• Weryfikacja nie może stać się zbieraniem danych. Motyw 64 mówi wprost, że danych nie należy przechowywać wyłącznie po to, by móc reagować na potencjalne wnioski. Skan dokumentu, który potem zachowujesz, odwraca cel tego przepisu.

Praktycznie wystarcza prosta droga: odpowiadaj kanałem, którym ta osoba jest u ciebie znana. Jeśli wniosek przychodzi z nieznanego adresu, dopytaj przez zapisany numer albo adres. To nie szykana i da się to wyjaśnić jednym zdaniem.

Gdy pyta ktoś w cudzym imieniu — bliska osoba, kancelaria, opiekun prawny — potrzebujesz dowodu umocowania. Bez niego nie odpowiadasz odmownie, tylko dopytujesz, a termin biegnie dalej.

Najczęstszym błędem nie jest odpowiedź zbyt skąpa, tylko zbyt hojna. Art. 15 ust. 4 mówi: prawo do uzyskania kopii nie może niekorzystnie wpływać na prawa i wolności innych osób. Wynika z tego lista wyjątków, którą przechodzisz przed wysłaniem.

Ważny jest kierunek tego wyjątku: nie pozwala odmówić dostępu w całości dlatego, że gdzieś pojawia się cudze imię. Pozwala zatrzymać to jedno miejsce, które dotyka cudzych praw. Reszta idzie na zewnątrz.

I jeszcze jedno do odpowiedzi nie należy: tłumaczenie się. Art. 12 ust. 1 wymaga formy zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej, jasnym i prostym językiem. Odpowiedź zaczynająca się trzema akapitami o tym, dlaczego przechowywanie jest konieczne, spełnia ten wymóg gorzej niż zwykłe zestawienie.

Teraz o właściwym nakładzie. Odpowiedź obejmuje wszystkie dane, które przetwarzasz o tej osobie — nie te z jednego systemu. W typowej małej firmie leżą one w co najmniej czterech miejscach: w kalendarzu wizyt, w kartotece klienta, w fakturach i w komunikacji, czyli w mailach i wiadomościach.

Do tego dochodzą miejsca ciche: arkusz do newslettera, formularz na stronie, narzędzie do rezerwacji, program fakturowy biura rachunkowego, zeszyt przy recepcji. Każde z nich z osobna jest niegroźne. Razem tworzą pytanie, które dopiero czyni odpowiedź żmudną: czy masz pewność, że o żadnym nie zapomniano?

Tu leży najuczciwszy powód, żeby prowadzić terminy, kartotekę i faktury w jednym systemie — nie oszczędność czasu w codziennej pracy, tylko możliwość odpowiedzenia na to pytanie. Gdzie wszystko leży w jednym miejscu, odpowiedź jest eksportem. Gdzie leży rozproszone, jest szukaniem o niepewnym końcu. Dla salonu pokazuje to oprogramowanie dla salonu, dla warsztatu oprogramowanie dla warsztatu samochodowego.

Niezależnie od narzędzia pomaga lista, którą piszesz wcześniej: jeden wiersz na każde miejsce, w którym leżą dane klientów, z jednym słowem o tym, jak się tam szuka. Ta sama lista odpowiada potem na pytanie, co przy zmianie oprogramowania naprawdę przechodzi do nowego systemu. Jest ona i tak prawie identyczna z rejestrem z art. 30 RODO — nie piszesz jej więc dwa razy.